Aegis

Claude Code का सैंडबॉक्स डिफ़ॉल्ट रूप से एक एजेंट को आपकी SSH कुंजियाँ और AWS क्रेडेंशियल्स पढ़ने देता है। Aegis नहीं देता।

दो परतें, दोनों वास्तविक हार्डवेयर पर सत्यापित।

कर्नेल सैंडबॉक्स — एजेंट का अपना शेल किसी अस्वीकृत पथ तक नहीं पहुँच सकता:

$ ! cat ~/.ssh/id_rsa
cat: /Users/you/.ssh/id_rsa: Operation not permitted

$ ! cat ~/.aws/credentials
cat: /Users/you/.aws/credentials: Operation not permitted

$ tail ~/Library/Application\ Support/Aegis/denials.log
kernel denied file-read-data /Users/you/.ssh/id_rsa to cat(pid 41560)
kernel denied file-read-data /Users/you/.aws/credentials to cat(pid 42180)

MCP प्रॉक्सी — वही टूल, वही फ़ाइल, Aegis के साथ और बिना:

direct to the server:   allowed: TOKEN=proof-env-secret
through aegis proxy:    AEGIS DENIED: read_text_file
                        Reason: path matches deny rule '.env'
                        Rule: deny_paths

यह क्या करता है

आपके AI कोडिंग एजेंट और आपकी मशीन के बीच बैठता है:

• हर टूल कॉल पर डिफ़ॉल्ट रूप से अस्वीकार
• सबप्रोसेस पर कर्नेल सैंडबॉक्स — cat .env इसे बायपास नहीं कर सकता
• छेड़छाड़-स्पष्ट ऑडिट लॉग — हैश-चेन्ड, aegis doctor द्वारा अखंडता जाँचा गया, और सैंडबॉक्स के बाहर से एक ऐसी कुंजी के अंतर्गत चेकपॉइंट किया गया जिसे सैंडबॉक्स न पढ़ सकता है न लिख सकता है
• आउटबाउंड अनुरोध बनाए जाने से पहले जाँचे जाते हैं
• सीक्रेट्स कभी MCP सर्वर तक नहीं पहुँचते

इंस्टॉल (macOS Apple Silicon)

नए हैं? docs/getting-started.md चरण-दर-चरण मार्ग है, जिसमें वे दो प्रश्न भी शामिल हैं जिनका डिफ़ॉल्ट उत्तर No है।

पहले के निर्देशों का पालन किया जिनमें aegis-mcp कहा गया था? वह पैकेज Aegis नहीं है — यह एक असंबंधित प्रोजेक्ट है जो उसी इम्पोर्ट नाम, aegis, के अंतर्गत इंस्टॉल होता है। पहले इसे हटाएँ:

python3 -m pip uninstall aegis-mcp

यदि aegis-sandbox पहले से इंस्टॉल है, तो वह अनइंस्टॉल उसकी दो फ़ाइलें भी हटा देता है, इसलिए बाद में इसे पुनः इंस्टॉल करें: python3 -m pip install --force-reinstall aegis-sandbox.

python3 -m pip install aegis-sandbox
aegis init      # detects Claude Code / Cursor, asks a few questions
aegis doctor    # proves the boundary is actually in place

अपग्रेड कर रहे हैं? aegis init को फिर से चलाएँ। आपकी policy.json आपकी है और इसे कभी आपकी पीठ पीछे फिर से नहीं लिखा जाता, इसलिए एक नया सैंडबॉक्स डोमेन अपने आप प्रकट नहीं होता — और OAuth टोकन एंडपॉइंट के बिना एक सैंडबॉक्स्ड क्लाइंट तब काम करना बंद कर देता है जब उसका टोकन समाप्त हो जाता है। aegis init नए होस्ट प्रस्तावित करता है; स्वीकार करना एक कीस्ट्रोक है।

यह क्या नहीं करता

• प्रॉम्प्ट इंजेक्शन को नहीं रोकता
• कर्नेल एस्केप सैंडबॉक्स को पराजित करता है
• ऑडिट डेटाबेस अभी भी सैंडबॉक्स के अंदर से लिखने योग्य है। चेकपॉइंट पहले से चेकपॉइंट किए गए इतिहास के साथ छेड़छाड़ को पता लगाने योग्य बनाते हैं — असंभव नहीं, और नवीनतम पंक्तियाँ अभी तक कवर नहीं हैं
• एक सैंडबॉक्स्ड क्लाइंट बिल्कुल भी लॉग इन नहीं कर सकता। aegis init से पहले Claude Code में लॉग इन करें; यदि कोई रैप्ड क्लाइंट लॉग इन नहीं है तो aegis doctor विफल हो जाता है
• एक सैंडबॉक्स्ड क्लाइंट समाप्त हो चुके लॉगिन टोकन को नवीनीकृत नहीं कर सकता — रीफ़्रेश करने के लिए इसे एक बार सैंडबॉक्स के बाहर चलाएँ
• सैंडबॉक्स अभी भी Keychain से आपका OAuth टोकन पढ़ सकता है
• 16 MiB से बड़े टूल परिणाम अस्वीकार कर दिए जाते हैं
• कोई बाहरी सुरक्षा समीक्षा नहीं, कोई प्रमाणपत्र नहीं
• मेरे अलावा किसी ने ऑडिट नहीं किया — पूरा स्रोत PyPI पर sdist के रूप में मिलता है; इसे पढ़ें, इसीलिए यह MIT है

पूरा थ्रेट मॉडल: THREAT-MODEL.md

लाइसेंस

MIT